Ninja Forms - File Uploads: borrado y lectura de archivos (CVE-2026-126537)
Se publicó una vulnerabilidad con puntuación CVSS 9.1 en el complemento Ninja Forms - File Uploads para WordPress. Un atacante no autenticado puede borrar archivos arbitrarios del servidor y leer archivos mediante la subida a S3, Dropbox o Google Drive.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con Ninja Forms - File Uploads en la versión 3.3.36 o anterior. La causa es que el file_path enviado por el cliente no se verifica contra el directorio de cargas. Borrar wp-config.php puede llevar a RCE.
Cómo comprobar
En el administrador de WordPress abre Plugins y busca Ninja Forms - File Uploads, o ejecuta wp plugin list. La versión 3.3.36 o inferior está afectada.
Cómo corregirlo
La fuente no indica una versión corregida. Está atento a una actualización del complemento e instálala en cuanto salga. Si no necesitas el complemento, puedes desactivarlo.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
La versión corregida y los detalles de una posible explotación aún no se han divulgado. Fuente: NVD, CVE-2026-126537.
